有关linux下apache2的ssl

一、安装

　　1、安装openssl（http://www.openssl.org）

　　./configure

　　make

　　su

　　make install

　　2、安装mod_ssl

　　apache2内置mod_ssl，所以只需要编译时加参：

　　--enable-ssl=static --with-ssl=/usr/local/ssl

　　解释：

　　将mod_ssl静态的编译进去才可以正常使用，否则apache在启动的时候会提示错误的。 

　　默认的安装是将openssl全部安装在 /usr/local/ssl 目录下面，所以编译apache的时候，需要指定ssl的目录：--with-ssl=/usr/local/ssl ，因为它在编译的时候要用到openssl提供的头文件和库。

二、配置

　　以前使用apache1+mod_ssl的时候，make之后有一个这样的步骤
　　$ make certificate
　　可以用来生成ssl所用到的证书。
　　现在没有这个工具了，只能自己动手生成了，对证书不熟悉的人，有一个工具可以使用：http://www.openssl.org/contrib/ssl.ca-0.1.tar.gz
　　# cd /usr/local/apache2/conf
　　# tar zxvf ssl.ca-0.1.tar.gz
　　# cd ssl.ca-0.1
　　# ./new-root-ca.sh (生成根证书)
　　No Root CA key round. Generating one
　　Generating RSA private key, 1024 bit long modulus
　　...........................++++++
　　....++++++
　　e is 65537 (0x10001)
　　Enter pass phrase for ca.key: (输入一个密码)
　　Verifying - Enter pass phrase for ca.key: (再输入一次密码)
　　......
　　Self-sign the root CA... (签署根证书)
　　Enter pass phrase for ca.key: (输入刚刚设置的密码)
　　........
　　........ (下面开始签署)
　　Country Name (2 letter code) [MY]:CN
　　State or Province Name (full name) [Perak]:JiangSu
　　Locality Name (eg, city) [Sitiawan]:NanJing
　　Organization Name (eg, company) [My Directory Sdn Bhd]:Wiscom System Co.,Ltd
　　Organizational Unit Name (eg, section) [Certification Services Division]:ACSTAR
　　Common Name (eg, MD Root CA) []:WISCOM CA
　　Email Address []:acmail@wiscom.com.cn
　　这样就生成了ca.key和ca.crt两个文件，下面还要为我们的服务器生成一个证书：
　　# ./new-server-cert.sh server (这个证书的名字是server)
　　......
　　......
　　Country Name (2 letter code) [MY]:CN
　　State or Province Name (full name) [Perak]:JiangSu
　　Locality Name (eg, city) [Sitiawan]:NanJing
　　Organization Name (eg, company) [My Directory Sdn Bhd]:Wiscom System Co.,Ltd
　　Organizational Unit Name (eg, section) [Secure Web Server]:ACSTAR
　　Common Name (eg, www.domain.com) []:acmail.wiscom.com.cn
　　Email Address []:acmail@wiscom.com.cn
　　这样就生成了server.csr和server.key这两个文件。
　　还需要签署一下才能使用的：
　　# ./sign-server-cert.sh server
　　CA signing: server.csr -> server.crt:
　　Using configuration from ca.config
　　Enter pass phrase for ./ca.key: (输入上面设置的根证书密码)
　　Check that the request matches the signature
　　Signature ok
　　The Subject's Distinguished Name is as follows
　　countryName :PRINTABLE:'CN'
　　stateOrProvinceName :PRINTABLE:'JiangSu'
　　localityName :PRINTABLE:'NanJing'
　　organizationName :PRINTABLE:'Wiscom System Co.,Ltd'
　　organizationalUnitName:PRINTABLE:'ACSTAR'
　　commonName :PRINTABLE:'acmail.wiscom.com.cn'
　　emailAddress :IA5STRING:'acmail@wiscom.com.cn'
　　Certificate is to be certified until Jul 16 12:55:34 2005 GMT (365 days)
　　Sign the certificate? [y/n]:y
　　1 out of 1 certificate requests certified, commit? [y/n]y
　　Write out database with 1 new entries
　　Data Base Updated
　　CA verifying: server.crt <-> CA cert
　　server.crt: OK
　　(如果这里出现错误，最好重新来过，删除ssl.ca-0.1这个目录，从解压缩处重新开始。)
　　下面要按照ssl.conf里面的设置，将证书放在适当的位置。
　　# chmod 400 server.key
　　# cd ..
　　# mkdir ssl.key
　　# mv ssl.ca-0.1/server.key ssl.key
　　# mkdir ssl.crt
　　# mv ssl.ca-0.1/server.crt ssl.crt
　　然后就可以启动啦！
　　# cd /usr/local/apache2
　　# ./bin/apachectl startssl
　　对于这个提示：
　　httpd: Could not determine the server's fully qualified domain name, using 127.0.0.1 for ServerName

　　只需要编辑httpd.conf,找到ServerName xxxx这一行，去掉前面的注释即可。

    <VirtualHost 172.18.116.42:443>
      DocumentRoot /etc/httpd/htdocs
      ServerName secure.somewhere.com
      SSLEngine on
      SSLCertificateFile /usr/local/ssl/crt/your_domain_com.crt
      SSLCertificateKeyFile /usr/local/ssl/private/private.key
      SSLCACertificateFile /usr/local/ssl/crt/GeoTrust_CA_Bundle.crt
    </VirtualHost>

三、参考文章：

http://www.geocerts.com/install/apache_2

http://www.digicert.com/ssl-certificate-installation-apache.htm

http://man.ddvip.com/linux/debian/apache2/debian-apache2-7.html

http://www.pkphp.com/2008/06/05/apache2-mod_ssl-php5-%E5%AE%8C%E5%85%A8%E5%AE%89%E8%A3%85%E5%AE%9E%E5%BD%95/

http://www.nurdletech.com/https.html

四、参考配置：

NameVirtualHost *:80
NameVirtualHost *:443
Listen 443



<VirtualHost *:80>
ServerAdmin webmaster@mydomain.com
DocumentRoot /srv/www/htdocs/mydomain
ServerName www.mydomain.com
ServerAlias mydomain.com
</VirtualHost>



<VirtualHost *:443>
ServerAdmin webmaster@mydomain.com
DocumentRoot /srv/www/htdocs/mydomain-secure
ServerName mail.mydomain.com
SSLEngine on
SSLCertificateFile /etc/apache2/ssl.crt/mydomain.crt
SSLCertificateKeyFile /etc/apache2/ssl.key/mydomain.key
</VirtualHost>



<Directory /srv/www/htdocs/mydomain-secure>
SSLRequireSSL
</Directory>



<VirtualHost *:80>
ServerAdmin webmaster@mydomain.com
DocumentRoot /srv/www/htdocs/mydomain
ServerName mail.mydomain.com
RedirectMatch permanent (/.*) https://mail.mydomain.com$1
</VirtualHost>